ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), en az 1 Ekim'den bu yana sıfır gün saldırılarında bir kimlik doğrulama atlatma açığından yararlanıldığına dair doğrulamanın ardından güvenlik ekiplerini Ivanti Connect Secure cihazlarını derhal güncellemeye çağırdı.
CVE-2026-104935 kimliğiyle kayıtlı olan açık, yüksek riskli olarak sınıflandırılıyor ve uzaktaki, ayrıcalığı olmayan saldırganların hedef sistemlerde rastgele komutlar yürütmesine olanak tanıyor. Saldırılar kullanıcı etkileşimi gerektirmediğinden, internete açık cihazlar açısından tehlike daha da artıyor.
Ivanti güncellemeleri ve gözlemlenen istismar
Ivanti salı günü açığı gidermek üzere 22.8R2.5, 25.1.3.0, 25.1.3.1 ve 25.1.1.2 sürümlerini yayımladı ve sınırlı bir gerçek dünya istismarının bulunduğuna dikkat çekerek müşterilerini derhal harekete geçmeye çağırdı.
Volexity, UTA0576 adıyla izlediği kimliği belirsiz bir tehdit aktörünün en az 3 Ekim'den bu yana bu açığı iki başka açıkla birleştirerek kimlik doğrulama atlatma, uzaktan kod yürütme ve ayrıcalık yükseltmeyi bir araya getiren bir saldırı zinciri oluşturduğunu ve sonunda kimlik doğrulama olmadan kök ayrıcalıklarıyla komut yürüttüğünü söyledi.
Volexity'ye göre ihlal sonrası faaliyetler, Local Administrator Password Solution (LAPS) parolaları ve BitLocker kurtarma anahtarları da dahil olmak üzere Active Directory kimlik bilgilerini ve sırlarını hedef aldı. Defused da açığın 1 Ekim'den bu yana gerçek dünyada istismar edildiğine ilişkin göstergeler bulduğunu doğruladı.
Bu haber neden önemli?
Shadowserver, internete açık ve Ivanti Connect Secure izleri taşıyan 5.600'den fazla ana bilgisayar gözlemliyor; ancak bu sayı bunların kaçının güvenli olduğunu veya kaçının izlenen sahte ortamları temsil ettiğini açıklamıyor. Bu nedenle, özellikle saldırganların komutları bellekte yürütmüş olabileceği dikkate alındığında, yalnızca güncellemenin yüklenmesi bir ihlalin gerçekleşmediğini kanıtlamaya yetmez.
CISA açığı Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi ve federal yürütme organlarına bağlı sivil kurumları, bağlayıcı operasyonel direktif BOD 26-04 uyarınca ağlarını cuma gününe kadar güvenceye almakla yükümlü kıldı. Ayrıca tüm güvenlik ekiplerine ve ağ yöneticilerine sistemleri güncellemeleri ve ihlal göstergelerini doğrulamaları için ayrı bir uyarı yöneltti.
İhlalden şüphelenildiğinde ne yapılmalı?
CISA, Ivanti'nin Integrity Checker Tool aracına tek başına güvenilmemesi konusunda uyarıyor; çünkü komutlar bellekte yürütüldüğünde araç CVE-2026-104935 açığının istismar izlerini tespit edemeyebilir. Kurum, ağ ve bellek üzerinde adli analiz yapılmasını, ardından ihlal doğrulandığında aşağıdaki adımların izlenmesini öneriyor:
- Cihaz yapılandırmasının yedeğini oluşturun.
- Fabrika ayarlarına sıfırlama yapın ve en son sürümü yükleyin; bulut ve sanal sistemler ise yeniden oluşturulmalı ve güncellenmelidir.
- Yapılandırmayı yedekten geri yükleyin.
- Etki alanı, yönetici ve yerel hesaplar dahil tüm hesapların parolalarını değiştirin.
- Depolanan sertifikaları iptal edip yeniden düzenleyin; ayrıca API anahtarlarını ve lisans sunucusu kimlik bilgilerini sıfırlayın.
Bu olay, son yıllarda sahada istismar edilen bir dizi Ivanti Connect Secure açığının parçası. CISA, Kasım 2021'den bu yana Ivanti ile ilişkili 36 açığı Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi; bunların 12'si fidye yazılımı saldırılarında da kullanıldı.